Account utente senza password

Solo perché non hai impostato una password, questo non significa che il tuo account sia accessibile. Senza vedere il codice, non posso esserne sicuro, ma è possibile che tu non abbia potuto accedere al tuo account finché non hai usato il link nell'email per impostare la password. Stavi ancora utilizzando lo stesso ID di sessione mentre continuavi a utilizzare il sito.

Come programmatore che ha creato un flusso di lavoro per l'iscrizione degli utenti come questo, posso assicurarti che non c'è nulla di cui preoccuparsi .

Un po 'di informazioni di base

Quando inserisci la tua email, non viene creato alcun account utente (sì, hai letto bene). L'e-mail, il link, il tempo di scadenza e altri dettagli sono memorizzati. Una volta verificata la tua email e inserita la password, viene creato un nuovo account utente.

Dopo un po 'di tempo, se l'account utente non viene verificato, tutte le informazioni relative all'utente verranno eliminate.

Quindi, quello che è successo qui è che la tua email è stata verificata prima del processo di registrazione.

Perché è stato fatto?

Abbiamo fatto questo per evitare la creazione di account utente fasulli. Inoltre impedisce a qualcuno di creare un account utente associato alla tua email.

Adesso per rispondere alle tue domande

Was I right to be skeptical? Should I "delete" my account?

Non è necessario eliminare il tuo account. Questo è un comportamento insolito ma non dannoso. È solo una misura di sicurezza aggiuntiva.

I noticed however, it used my e-mail address and created a user account without prompting me for a password.

Questo approccio ha a che fare con la fornitura di esperienza utente con maggiore praticità; vogliono il tuo curriculum e i dettagli ma non vogliono infastidirti con la password, quindi ti lasciano solo la scelta di prendere il tuo tempo per impostare la tua password o non tornare mai più, dopo tutto hanno i tuoi dettagli.

Se usi un altro browser o una macchina per caricare il tuo curriculum con la stessa email, verrai probabilmente informato che esiste già un altro account con la stessa email, tuttavia tu o qualsiasi altra persona non puoi accedere a quell'account senza il link che hanno inviato a te. (ma non necessariamente in quanto dipende da come gestiscono ID univoci)

Was I right to be skeptical? Should I "delete" my account? I say delete in quotes, because who knows if this will be done.

Questo approccio è molto comune.
Non devi eliminare il tuo account, a meno che tu non abbia un altro motivo.

Primo punto importante: a meno che non abbiano fatto qualcosa di veramente stupido, un account senza password non è un rischio per la sicurezza. Invece, sarebbe normale che qualcuno non possa accedere ad un account senza password. Da quella prospettiva, creando un account senza password, inviando un'email all'utente per confermare, e quindi averli impostati una password non è più o meno sicuro, quindi impostare una password temporanea. Di conseguenza qui non vi sono problemi di sicurezza reali.

Pensa in questo modo: il link che l'e-mail ti ha fornito è, in un certo senso, la tua password temporanea. È una password temporanea "speciale" che consente di creare una password effettiva.

Guarda il link. Contiene un token / stringa lungo? Se è così, (e se è implementato correttamente, di cui non puoi mai essere sicuro al 100%), allora è sicuro quanto inviare una password temporanea letterale.

Ora, se il collegamento non contiene un token ed è un URL breve e indovinabile, potrebbe utilizzare la sessione che hai creato creando l'account. Se non lo fa, il sistema è veramente vulnerabile poiché chiunque potrebbe indovinare l'URL e cambiare la password dell'account associato.

Non vedo alcun motivo per eliminare l'account.

1. e creato un account utente ... Ho avuto un account utente - Come sai che è stato creato veramente? Hai provato ad accedere prima di confermare la tua email? Potrebbe essere che non è stato creato alcun account. Potrebbe essere stato creato solo dopo aver confermato la tua email.
2. Potrebbe essere stato creato un account ma è stato disattivato dall'inizio fino a quando non hai confermato la tua email.